Giuseppe Vaciago. Computer Forensic Milano Università degli Studi Milano - Bicocca

Transcript

1 Giuseppe Vaciago Computer Forensic Milano Università degli Studi Milano - Bicocca

2 COMPUTER FORENSICS Avv. Giuseppe Vaciago 1. Investigazioni telematiche (8 maggio ore ) 2. Elementi di Computer Forensic (15 maggio ore ) 3. Gli strumenti processuali (22 maggio ore ) 4. Casistica giurisprudenziale (29 maggio ore )

3 INTERCETTAZIONI TELEMATICHE Le intercettazioni sono uno strumento di notevole: 1. Efficacia 2. Complessità tecnica 3. Insidiosità 1. Efficacia: in quanto l intercettazione può costituire il fondamento del giudizio critico complessivo che sostanzia la prova del fatto, tanto più che, nel materiale intercettato, molto spesso si rinvengono affermazioni o dichiarazioni autoindizianti sottratte alla disciplina garantista degli articoli da 60 a 65 del codice di procedura penale.

4 INTERCETTAZIONI TELEMATICHE 2. Complessità Tecnica: per quanto riguarda la prova digitale acquisita tramite intercettazione telematica e informatica, perché è richiesto a tutti gli operatori un discreto livello di preparazione tecnica, anche soltanto nella individuazione e nella presentazione del materiale probatorio in dibattimento 3. Insidiosità : la captazione occulta in tempo reale di una comunicazione tra due o più sistemi di elaborazione o di una conversazione over IP tra due o più soggetti può portare ad conclusioni difformi dalla reale volontà dei soggetti intercettati Captazione: la comunicazione non riguarda il terzo che è impegnato nell intercettazione Occulta: può essere assistita dalle garanzie che la legge prevede

5 INTERCETTAZIONI TELEMATICHE PRESUPPOSTI La Convenzione Europea per la tutela dei diritto dell uomo e delle libertà fondamentali sancisce all articolo 8 che le intercettazioni sono ammissibili se sussistono i seguenti presupposti: (1) Una normativa di dettaglio che precisi limiti e strumenti di applicazione (2) L esigenza del provvedimento dell autorità giurisdizionale che verifichi il rispetto di tale fondamento giuridico (3) La conformità ad uno degli scopi legittimi, tra cui il fine di prevenire e reprimere i reati, indicati nella Convenzione.

6 INTERCETTAZIONI TELEMATICHE PRESUPPOSTI NORMATIVI La legge 23 settembre 1993, n. 547, oltre ad aver introdotto la disciplina relativa ai reati informatici, ha previsto anche uno specifico mezzo di ricerca della prova, vale a dire le intercettazioni del flusso di comunicazioni relativo a sistemi informatici (o telematici) ovvero intercorrente tra più sistemi. Tale legge, infatti, ha aggiunto al codice di procedura penale l art. 266 bis c.p.p. ed il comma 3 bis dell art. 268 c.p.p., accostando alle intercettazioni telefoniche ed ambientali questo nuovo tipo di intercettazione Mail inviate e ricevute Siti web visitati Comunicazioni VoIP non criptate Download ed upload di files Conversazioni in chat room

7 INTERCETTAZIONI TELEMATICHE - PRESUPPOSTI NORMATIVI Art. 266 c.p.p.: L intercettazione di conversazioni o comunicazioni telefoniche e di altre forme di telecomunicazione è consentita [ ] A ben vedere, si è trattato di un intervento volto a chiarire il contenuto normativo già presente nell articolo 266 c.p.p. ove si rinviene il riferimento alle intercettazioni (di conversazioni o comunicazioni) telefoniche ma anche alla captazione di altre forme di comunicazione Art. 268 comma 3-bis c.p.p.: Quando si procede a intercettazione di comunicazioni informatiche o telematiche, il pubblico ministero può disporre che le operazioni siano compiute anche mediante impianti appartenenti a privati

8 INTERCETTAZIONI TELEMATICHE PRESUPPOSTI: LA FINALITA DI REPRESSIONE DEI REATI Art. 266-bis c.p.p.: Nei procedimenti relativi ai reati indicati nell articolo 266, nonché a quelli commessi mediante l impiego di tecnologie informatiche o telematiche, è consentita l intercettazione del flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi: 1. Delitti dove è prevista la reclusione non inferiore nel massimo a 5 anni 2. Delitti concernenti sostanze stupefacenti o psicotrope 3. Delitti concernenti le armi e le sostanze esplosive 4. Delitti di contrabbando 5. Ingiuria, minaccia, abusiva attività finanziaria, molestia, disturbo alle persone, pornografia minorile 6. Reati commessi mediante l impiego di tecnologie informatiche o telematiche

9 INTERCETTAZIONI TELEMATICHE - PRESUPPOSTI PROCEDURALI Art. 267 c.p.p.: Il Pubblico Ministero richiede al Giudice per le indagini preliminari l autorizzazione a disporre le operazioni previste dall articolo 266. L autorizzazione è data direttamente dal Pubblico Ministero con decreto motivato quando vi sono gravi indizi di reato e l intercettazione è assolutamente indispensabile ai fini della prosecuzione delle indagini. La norma prevede che il giudice per le indagini preliminari debba verificare la sussistenza dei presupposti di ammissibilità dell intercettazione (gravità degli indizi e loro indispensabilità ai fini della prosecuzione delle indagini). La giurisprudenza ritiene che i gravi indizi attengono all esistenza del reato, e non alla colpevolezza di un soggetto che può essere del tutto ignoto nel momento in cui l operazione è disposta.

10 INTERCETTAZIONI TELEMATICHE PRESUPPOSTI PROCEDURALI Pubblico Ministero Urgenza No Urgenza Decreto di autorizzazione e richiesta al giudice della convalida entro 24 ore Richiesta al Giudice delle Indagini preliminari Successiva convalida Giudice delle Indagini Preliminari entro 48 ore Decreto di Autorizzazione allo svolgimento delle operazioni Decreto P.M. indica tempi e modalità dell intercettazione: 15 giorni 40 in caso di intercettazioni preventive 15 giorni proroga 40 in caso di intercettazioni

11 INTERCETTAZIONI TELEMATICHE PRASSI OPERATIVA Intercettazione delle comunicazioni Ogni comunicazione elettronica può essere oggetto di intercettazione allo scopo di acquisire, copiare o modificare i dati in essa contenuti I punti più vulnerabili ad una intercettazione sono i punti di gestione e di concentrazione della rete come i router, le gateway o i server di rete

12 INTERCETTAZIONI TELEMATICHE PRASSI OPERATIVA Quanto alla concreta modalità operativa, l intercettazione potrà avvenire su tre livelli: 1. Cavo (con ricostruzione completa dei protocolli) Nel caso di linee fisse come ADSL, al posto del traslatore viene messa in centrale una sonda detta Front End collegata ad una porta c.d. mirror che riceve in copia tutto il traffico scambiato (in entrambe le direzioni quindi) dall'apparato di accesso che gestisce la connessione finale dell'utente. La sonda filtra solo il traffico rilevante per il decreto di intercettazione in base all'indirizzo IP del target (noto a priori o scoperto tramite la decodifica della comunicazione tra l'apparato d'accesso ed il server RADIUS con il quale l'utente svolge l'autenticazione). Il flusso netto viene poi scaricato localmente su disco e trasferito tramite linea dedicata ad alta velocità verso la postazione di decodifica (Back End).

13 INTERCETTAZIONI TELEMATICHE PRASSI OPERATIVA 2. Provider che metterà a disposizione della polizia giudiziaria una linea telefonica dedicata, attivata presso la sala intercettazioni della procura, dove vi è un server che capta i dati della postazione sotto controllo 3. Dorsali (backbone) Nel caso di intercettazioni parametriche su dorsali di comunicazione si è più spesso interessati ad identificare sessioni di traffico generate da un punto imprecisato di un area geografica che contengono tipicamente parole o frasi chiave. Viene quindi impostato un filtro c.d. applicativo e tutti i pacchetti che compongono la comunicazione del canale vengono ispezionati. Se il traffico in ingresso al Front End non è troppo elevato da impedire lo storage in tempo reale nel sistema dischi della sonda si attiva il filtraggio sul Back End

14 INTERCETTAZIONI TELEMATICHE PROBLEMI PROXY SERVER E ANONYMIZER Un proxy è un programma che si interpone tra un client ed un server, inoltrando le richieste e le risposte dall'uno all'altro. Il client si collega al proxy invece che al server, e gli invia delle richieste. Il proxy a sua volta si collega al server e inoltra la richiesta del client, riceve la risposta e la inoltra al client. I server esterni a cui ci si collega attraverso un proxy vedranno generalmente le connessioni provenienti dall'indirizzo IP di quest ultimo e non da quello del client. Questo garantisce una relativa privacy del client (il server, o chi analizzi il traffico diretto ad esso, non può conoscere l'indirizzo IP del client), poiché il server di destinazione, cioè quello sul quale risiede il sito visitato, non potrà conservare, all interno dei propri file di log, il reale indirizzo IP del computer dal quale l agente si è connesso, bensì, si limiterà a ritenere di essere stato contattato dall indirizzo IP del server proxy.

15 INTERCETTAZIONI TELEMATICHE PROXY SERVER E ANONIMYZER

16 INTERCETTAZIONI TELEMATICHE AMBITO DI ESCLUSIONE DELL APPLICAZIONE DELLA DISCIPLINA L attività di accertamento della polizia giudiziaria che accede, mediante lo strumento informatico, alle comunicazioni aperte a tutti i navigatori via internet per le quali non sia richiesto alcun codice di accesso è liberamente utilizzabile La Cassazione, infatti, non ritiene che tale attività, infatti, costituisca intercettazione delle comunicazioni private intercorse per via informatica o telematica di cui all articolo 266 bis c.p.p. che, attenendo alla sfera personale, rientra nell ambito della riservatezza costituzionalmente garantita

17 INTERCETTAZIONI TELEMATICHE I CARDINI DELLA COMPUTER FORENSICS Il valore probatorio dipenderà dal rispetto delle regole (giuridiche) di acquisizione della prova e da quattro fattori tecnici: 1. Autenticità dell informazione 2. Completezza 3. Integrità 4. Veridicità del dato

18 ISPEZIONE - DEFINIZIONE L ispezione è un mezzo di ricerca della prova adottato principalmente durante la fase delle indagini preliminari dal pubblico ministero e dalla polizia giudiziaria caratterizzato dal fattore a sorpresa. L ispezione consente all autorità giudiziaria di percepire direttamente elementi utili alla ricostruzione del fatto e può essere personale, che rileva marginalmente nell ambito delle investigazioni telematiche o locale L ispezione locale ha di solito per oggetto il luogo in cui è stato commesso il fatto e riguarda anche essa le tracce e gli altri effetti materiali del reato e può limitarsi ad una semplice osservazione generale dell ambiente in cui il fatto si è svolto

19 ISPEZIONE - DEFINIZIONE Art. 244 c.p.p.: Casi e forme delle ispezioni 1. L ispezione delle persone, dei luoghi e delle cose è disposta con decreto motivato quando occorre accertare le tracce e gli altri effetti materiali del reato. 2. Se il reato non ha lasciato tracce o effetti materiali, o se questi sono scomparsi o sono stati cancellati o dispersi, alterati o rimossi, l autorità descrive lo stato attuale e, in quanto possibile, verifica quello preesistente, curando anche di individuare modo, tempo e cause delle eventuali modificazioni. L autorità giudiziaria può disporre rilievi segnaletici, descrittivi e fotografici e ogni altra operazione tecnica

20 ISPEZIONE - DEFINIZIONE Il verbale di ispezione deve essere redatto allegando tutta la documentazione e le circostanze utili necessarie al fine di provare la commissione dell illecito, in quanto essendo un attività irripetibile i relativi verbali sono destinati ad entrare nel fascicolo del dibattimento, così da poter essere conosciuti immediatamente dal giudice ed eventualmente utilizzati per la decisione. Non essendo stata presentata alcuna documentazione comprovante il regolare possesso del software rinvenuto durante l ispezione e indicato come sprovvisto di licenza d uso si conferma quanto precedentemente indicato nel verbale di ispezione (Tribunale di Savona, 17 gennaio 2004)

21 ISPEZIONE COPIA BIT STREMA DEL SUPPORTO DI MEMORIZZAZIONE La polizia giudiziaria, dopo aver trovato le tracce informatiche del reato commesso, ha la possibilità non solo di redigere il verbale di ispezione, ma anche di acquisire, attraverso una copia bitstream del supporto di memorizzazione, i dati utili alla prosecuzione dell indagine. La copia bitstream è un particolare tipo di duplicazione in cui il contenuto dell unità fisica viene letto sequenzialmente caricando la minima quantità di memoria di volta in volta indirizzabile, per poi registrarla nella stessa sequenza su di un comune file binario generando un file di immagine fisico del supporto originale che risulta di più facile gestione, rispetto ad altre forme di duplicazione

22 ISPEZIONE - DEFINIZIONE

23 ISPEZIONE - DEFINIZIONE Write Blocker Impronta di Hash Copia Bit Stream Image Verifica Impronta di Hash

24 ISPEZIONE - DEFINIZIONE Tali operazioni sono caratterizzate dall irripetibilità e, pertanto, ove siano stati utilizzati i metodi di acquisizione idonei a garantire l integrità e la genuinità dei dati, potranno essere pienamente utilizzati in dibattimento. L ispezione, particolarmente favorevole per l indagato che non dovrà subire un eventuale spossessamento dei beni attraverso il sequestro, è un attività che esige specifiche competente informatiche ed un adeguata strumentazione tecnica dove l operatore deve, in contraddittorio con la parte, analizzare i supporti informatici dell indagato, alla ricerca di dati e tracce informatiche inerenti i fatti oggetto dell ispezione, che verranno riprodotti all interno di un supporto durevole da allegare al verbale.

25 ISPEZIONE - DEFINIZIONE Irripetibilità Mancanza della genuinità della prova Il PC non viene sequestrato Utile nel caso di reati facilmente identificabili

26 PERQUISIZIONE - DEFINIZIONE La perquisizione ha lo scopo di ricercare il corpo del reato o le cose che ad esso si riferiscono, qualora si ritengano, con fondati motivi, nascoste sulla persona o in un determinato luogo. Nel procedere alla perquisizione locale, l autorità giudiziaria può disporre con decreto motivato, ai sensi dell articolo 250, comma III c.p.p., che siano perquisite le persone presenti o sopraggiunte, quando ritiene che le stesse possano occultare il corpo del reato o cose pertinenti al reato La perquisizione locale è, inoltre, disposta anche quando deve eseguirsi l arresto dell imputato o dell evaso.

27 PERQUISIZIONE - DEFINIZIONE Art. 247 c.p.p. 1. Quando vi è fondato motivo di ritenere che taluno occulti sulla persona il corpo del reato o cose pertinenti al reato, è disposta perquisizione personale. Quando vi è fondato motivo di ritenere che tali cose si trovino in un determinato luogo ovvero che in esso possa eseguirsi l arresto dell imputato o dell evaso, è disposta perquisizione locale. 2. La perquisizione è disposta con decreto motivato. 3. L`autorità giudiziaria può procedere personalmente ovvero disporre che l atto sia compiuto da ufficiali di polizia giudiziaria delegati con lo stesso decreto.

28 PERQUISIZIONE AVENTE AD OGGETTO SUPPORTI INFORMATICI Nel caso all interno dell indagine sia necessario ricercare fonti di prova dove può venire coinvolto l elaboratore elettronico, saranno oggetto della perquisizione anche tutti i supporti ad esso dedicati e quelli contenente dati potenzialmente utili ai fini dell indagine. La perquisizione necessita che ogni operazione avente ad oggetto lo strumento informatico, sia conforme ad una metodologia operativa conforme ai protocolli internazionali (best practices) che garantisca l integrità e la genuinità dei dati, affinché non siano possibili contestazioni in sede dibattimentale 1. Operazioni preliminari 2. Acquisizione

29 PERQUISIZIONE OPERAZIONI PRELIMINARI PER LA PERQUISIZIONE DI SUPPORTI INFORMATICI Durante una perquisizione locale che abbia ad oggetto supporti informatici, sono necessarie tre operazioni preliminari: 1. Corretta descrizione dell ambiente a. Documentazione fotografica b. Riprese video 2. Individuazione dei soggetti utilizzatori di tali supporti a. Verbale di sommarie informazioni di persone informate sui fatti b. Spontanee dichiarazioni indagato 3. Valutazione del grado di competenze tecniche dell indagato a. Elementi accessori ai supporti informatici utili per dimostrare il livello di conoscenze informatiche dell indagato b. Appunti, diari, note dai quali si possano eventualmente ricavare password o chiavi di cifratura o di riviste specializzate

30 PERQUISIZIONE ACQUISIZIONE DI SUPPORTI INFORMATICI Computer spento 1. Estrarre i floppy disk in esso contenuti 2. Estrarre i cd rom utilizzando l apposito foro 3. Identificazione del numero e delle caratteristiche tecniche dei dischi fissi presenti nel computer

31 PERQUISIZIONE ACQUISIZIONE DI SUPPORTI INFORMATICI Computer Acceso 1.Accedere al sistema, ove possibile, con il ruolo di amministratore 2.Salvare gli elementi utili reperiti con un supporto vergine 3.Procedere ad un analisi di tutti i processi ancora in esecuzione e della RAM, ove fosse possibile reperirne il contenuto 4.Nel caso in cui siano presenti connessione attive che possano ricondurre alla presenza di programmi file-sharing, analizzare l attività di download e le informazioni relative agli utenti 5.Redigere un verbale in cui con appositi screenshot vengono documentate le attività svolte durante l analisi forense devono essere accuratamente registrate in un file di log 6.Contattare il provider di posta elettronica per bloccare l accesso all utente e recuperare le mail dell utente

32 SEQUESTRO Il codice di procedura penale prevede tre forme di sequestro Preventivo Probatorio Conservativo Si applica quando vi è pericolo che la libera disponibilità di una cosa pertinente al reato possa aggravare o protrarre le conseguenze del reato, o agevolare la commissione di altri reati (art. 321 c.p.p.) Assicura le prove necessarie per l accertamento del reato assumendo nell ambito della fase investigativa una notevole importanza (art. 253 c.p.p.) Assicura l adempimento delle obbligazioni relative alle pene pecuniarie, alle spese processuali ed alle obbligazioni civili derivanti dal reato (art. 316 c.p.p.)

33 SEQUESTRO PROBATORIO Indagini preliminari Decreto dal Pubblico Ministero d ufficio o su richiesta della persona offesa dove vengono motivate correttamente le esigenze probatorio. Nel caso di mancanza di motivazione è ammesso il ricorso al Tribunale del Riesame La Polizia Giudiziaria durante una perquisizione giudiziaria dispone il sequestro (art. 354, comma 2 c.p.p.) se il Pubblico Ministero non è reperibile. Il verbale è trasmesso entro quarantotto ore al Pubblico Ministero che lo convalida con decreto motivato, nelle successive quaranotto ore Fase dibattimentale Ordinato dal Giudice

34 SEQUESTRO CORPO DEL REATO Il corpo del reato è configurato non solo delle cose sulle quali il reato è stato commesso, ma anche da quelle che ne costituiscono il prodotto, il profitto o il prezzo. Cose acquisite direttamente con il reato o da questo create Qualsiasi vantaggio patrimoniale e non patrimoniale ricavato dal reato File protetti da copyright acquisiti attraverso un software peer-to-peer Scambio di mail tra indagati Non indispensabile Motivazione della necessità del sequestro in funzione dell accertamento dei fatti Indispensabile

35 SEQUESTRO CONCETTO DI MATERIALITA Caratteristica comune sia del corpo del reato che delle cose pertinenti ad esso, è la materialità dell oggetto da porre sotto vincolo d indisponibilità. Le tracce informatiche (digital evidence), tuttavia, sono connotate dall immaterialità e dalla facile alterabilità La giurisprudenza, non soffermandosi neppure sulla vexata quaestio dell immaterialità del dato informatico, si è posta la questione della legittimità del sequestro dell hard disk quale unico elemento utile da acquisire durante la fase di indagini o di tutte le periferiche ad esso collegate (monitor, stampante tappetini, mouse, webcam, cuffie etc..)

36 SEQUESTRO MAIL E VIOLAZIONE DELLA CORRISPONDENZA L articolo 254 c.p.p., prevede che le carte e gli altri documenti sequestrati che non rientrano fra la corrispondenza sequestrabile sono immediatamente restituiti all avente diritto e non possono comunque essere utilizzati. La legge 48/2008 ha assimilato la corrispondenza cartacea a quella telematica consentendo all autorità giudiziaria di disporre il sequestro presso il server che ospita la corrispondenza elettronica dell indagato ordinando una copia del contenuto presente all interno del server. Gli agenti di Polizia Giudiziaria, in sede di perquisizione hanno il compito di effettuare una selezione del materiale rilevante, ancor prima delle operazioni peritali

37 SEQUESTRO MODALITA OPERATIVE IN CASO DI SUPPORTI INFORMATICI Catena di custodia (Chain of Custody) 1. Individuazione e identificazione dei supporti da sequestrare anche attraverso video e foto, attraverso le loro caratteristiche tecniche (marca, modello, numero seriale ed etichette apposte) 2. Calcolo dell algoritmo di hash sui supporti (fase controversa) 3. Imballaggio dei supporti e apposizione delle etichette indicando il soggetto che ha raccolto le prove e le modalità e il luogo in cui sono state reperite 4. Apposizione dei sigilli al materiale informatico 5. Redazione del verbale di sequestro in cui viene trascritto l algoritmo di hash

38 ACCERTAMENTI TECNICI, INCIDENTE PROBATORIO E PERIZIA - DEFINIZIONE L autorità giudiziaria, dopo aver acquisito la prova informatica attraverso la copia del supporto di memorizzazione durante l ispezione ed il sequestro probatorio durante la perquisizione, dovrà procedere all analisi dei dati in essa contenuti Accertamenti tecnici (artt. 359 e 360 c.p.p.) Incidente probatorio (artt. 392 e ss. c.p.p.) Perizia (artt. 220 e ss. c.p.p.). lo studio e la relativa elaborazione critica dei dati, necessariamente soggettivi e per lo più su base tecnico scientifica. Possono riguardare atti ripetibili e non ripetibili Offre la possibilità alle parti di chiedere un assunzione anticipata della prova, in modo tale da poterla poi utilizzare nel futuro dibattimento Viene disposta quando occorre svolgere indagini o acquisire dati e valutazioni che richiedono specifiche competenze tecniche, scientifiche o artistiche

39 ACCERTAMENTI TECNICI NON RIPETIBILI GARANZIE DEL CONTRADDITORIO Trattandosi di atti destinati sicuramente ad esplicare efficacia di prova, il legislatore ha predisposto alcune garanzie, previste dall articolo 360 c.p.p., rappresentate: 1. Dalla partecipazione dei difensori, delle parti ed, eventualmente, dei loro consulenti tecnici. 2. L indagato conserva la possibilità di opporsi manifestando, mediante la formulazione di una riserva, la volontà di promuovere un incidente probatorio, che come vedremo in seguito, garantisce ampiamente il rispetto del principio del contraddittorio

40 ACCERTAMENTI TECNICI NON RIPETIBILI LE INVESTIGAZIONI DIFENSIVE È, infine, opportuno segnalare che la legge n. 397, del 7 dicembre 2000, in materia di indagini difensive, ha garantito un maggior rispetto del principio di parità tra accusa e difesa, introducendo l articolo 327 bis e quelli compresi tra il 391 bis e 391 decies. L articolo 391 decies, terzo comma c.p.p., infatti, specifica la possibilità per il difensore di ricorrere agli accertamenti tecnici non ripetibili, qualora, nelle more del giudizio, vi sia pericolo che la prova venga modificata. In tale eventualità la norma prevede che il difensore deve darne avviso, senza ritardo, al pubblico ministero per l esercizio delle facoltà previste, in quanto compatibili, dall articolo 360 c.p.p..

41 INCIDENTE PROBATORIO L incidente probatorio costituisce un incidentale parentesi accusatoria, in cui viene celebrata un apposita udienza, con le formalità del dibattimento, finalizzata non alla decisione della causa, ma all assunzione della specifica prova richiesta, affinché possa essere pienamente utilizzabile nel dibattimento Richiedente Pubblico Ministero o Indagato Fase Udienza preliminare Indagine preliminare Organo giudicante G.U.P. G.I.P. L istanza deve tassativamente avere ad oggetto l indicazione della prova da assumere, dei fatti che ne costituiscono l oggetto e delle ragioni della sua rilevanza, oltre che un esaustiva descrizione delle circostanze che condizionano l ammissibilità dell incidente probatorio.

42 PERIZIA LE FASI La perizia che si caratterizza dal fatto di essere uno strumento per l analisi della prova in sede dibattimentale si svolge in tre fasi principali: 1. Conferimento dell incarico Durante la prima fase il perito, la cui scelta non è vincolata alla iscrizione in appositi albi, ma sulla base della concreta idoneità a svolgere l incarico, riceve il quesito concordato dalle parti e viene autorizzato dal giudice a prendere visione degli atti, dei documenti e delle cose prodotte dalle parti dei quali la legge prevede l acquisizione al fascicolo del dibattimento. 2. Attività del perito il perito compie la sua attività entro il periodo di tempo fissato dal giudice che, comunque, non deve superare i novanta giorni prorogabili al limite massimo di sei mesi 3. Enunciazione del parere Enunciazione del parere e all eventuale presentazione di una relazione scritta, il perito viene esaminato dalle parti con le stesse regole previste per i testimoni

43 PERIZIA ACQUISIZIONE DEL REPERTO Apertura dei sigilli Verifica dell algoritmo di Hash Wiping (Cancellazione a basso livello) dell hard disk di destinazione Utilizzo di un dispositivo hardware o software per bloccare la scrittura dei dati (write blocker) Copia Bit Stream dell immagine del disco di sorgente

44 PERIZIA ATTIVITA DI ANALISI IN CASO DI SUPPORTI INFORMATICI Computer Forensics Network Forensics Slack: residui di memoria che hanno subito solo una parziale reimpressione Swap: aree di disco rigido intervenute a supporto della RAM Dump: fotografia della memoria RAM in caso di malfunzionamento File cancellati (per l utente, non per il sistema), quelli temporanei ancora presenti in memoria Analisi dei file di log per ricostruire gli eventi intervenuti in un sistema Ricerca di Rootkit per verificare se il sistema è stato violato Utilizzo di strumenti di intercettazione delle trasmissioni (sniffer) Ricerca del reale indirizzo IP dell utente

45 PERIZIA ANALISI E VALUTAZIONE DEL DATO Descrizione accurata della parte logica (volumi e dischi) del supporto e del tipo di OS Individuazione della timeline Analisi dei file cancellati Particolare attenzione a: 1. File (.mp3, mpg,.dbx,.pst, etc) 2. Link locali e remoti nella cartella preferiti 3. Cronologia Internet e relativi cookies 4. File steganografati, criptati

46 CONCLUSIONI Gli utenti percepiscono la rete come un luogo libero, in cui la stessa identificazione attraverso il nome reale dell'utente non è mai stata vissuta, fin dalle origini di Internet, come necessaria. Oggi non è più così anzi: 1. Attraverso le intercettazioni le comunicazioni non sono sicure 2. Ispezione, perquisizioni e sequestro se applicati con una procedura non corretta potrebbero superare l ambito della delega di indagine 3. Durante la fase di analisi i file cancellati, sovrascritti, steganografati o criptati verranno recuperati